Escrow-diensten voor NIS2-compliance: zo borg je continuïteit

Stel: een bedrijfskritieke applicatie draait bij een SaaS-leverancier die plotseling zijn deuren sluit. Je hebt back-ups van je eigen data, maar de broncode, de configuratie en de kennis om die applicatie zelfstandig te draaien zitten bij de leverancier. Je kunt niet herstellen. Precies dit scenario maakt de NIS2-richtlijn concreet zorgelijk voor bestuurders en compliance-teams.

De NIS2-richtlijn, van kracht als Europees kader sinds 18 oktober 2024, legt organisaties in 18 kritieke sectoren een zorgplicht op die verder gaat dan technische basishygiëne. Bedrijfscontinuïteit, incidentbeheer en het beheersen van supply-chain risico’s zijn expliciet onderdeel van Artikel 21. In Nederland treedt de vertaling naar nationaal recht, de Cyberbeveiligingswet (Cbw), in werking op 15 augustus 2026 (bron: NCSC). Tegen die tijd moet je niet alleen maatregelen hebben genomen, maar ze ook aantoonbaar kunnen maken richting toezichthouders.

Escrow is een van de praktische instrumenten die je daarbij helpt. Hieronder leggen we uit hoe.

Wat NIS2 Artikel 21 van je vraagt

Artikel 21 van de NIS2-richtlijn beschrijft de cybersecurity risicobeheermaatregelen die organisaties moeten treffen. Daarin vallen expliciet: backup management, disaster recovery, crisismanagement en supply chain security (bron: NIS2resources.eu, “Article 21, Cybersecurity risk-management measures”). ENISA publiceerde op 26 juni 2025 een “NIS2 Technical Implementation Guidance” die organisaties helpt deze eisen te operationaliseren.

Vertaald naar de praktijk vraagt dit drie dingen:

1. Je hebt beleid en maatregelen die bedrijfscontinuïteit borgen bij uitval van systemen of leveranciers.
2. Je kunt aantonen dat je kunt herstellen, niet alleen theoretisch via een BCP-document, maar met tastbaar bewijs.
3. Je bestuur heeft dit beleid goedgekeurd en houdt toezicht op de uitvoering.

Die derde eis is voor veel organisaties het pijnpunt. Een escrow-overeenkomst die nooit getest is, helpt je niet bij een audit. Bewijs van herstelbaarheid vraagt om depositie, verificatie en periodieke restore-tests met gedocumenteerde uitkomsten.

Drie escrow-diensttypen en hun NIS2-relevantie

Niet elke softwareafhankelijkheid vraagt om dezelfde escrow-aanpak. Welke dienst past bij jouw situatie hangt af van hoe de software is ingericht en welk continuïteitsrisico je loopt.

Software escrow voor on-premise en maatwerk

Als je organisatie afhankelijk is van maatwerksoftware of licentiesoftware die lokaal draait, biedt software escrow de meest directe herstelmogelijkheid. De broncode, build-instructies, documentatie en dependencies worden bij een onafhankelijke partij bewaard. Bij een vrijgavegebeurtenis, zoals faillissement van de leverancier of het stopzetten van support, kun je die assets ophalen en de software zelf beheren of door een derde laten draaien.

Voor NIS2 levert dit concreet bewijs op voor backup management en disaster recovery: je kunt aantonen dat je niet volledig afhankelijk bent van één leverancier voor de continuïteit van een bedrijfskritiek systeem.

SaaS escrow voor cloud- en webapplicaties

SaaS-omgevingen zijn qua herstelbaarheid complexer. De applicatie draait op infrastructuur van de leverancier, en jouw data zit daar ook in. SaaS escrow legt vast welke data-exports, configuraties en (waar van toepassing) containerimages of deployment-scripts periodiek worden gedeponeerd, zodat je bij een service-stop de dienst kunt migreren of reproduceren.

Dit adresseert de NIS2 supply chain component direct: je beperkt de operationele afhankelijkheid van één cloudleverancier en kunt aantonen welke stappen je neemt als die leverancier wegvalt. Vendor lock-in mitigatie is hier niet alleen een commercieel argument, maar een compliance-vereiste.

Data escrow voor datagedreven afhankelijkheden

Wanneer continuïteit primair afhangt van toegang tot een specifieke dataset, zoals bij registrydatabases of sectorale dataplatforms, biedt data escrow uitkomst. Escrow4all biedt onder meer Data/Registry Data Escrow die is goedgekeurd door ICANN voor Registry Data Escrow (RyDE). Voor organisaties met soortgelijke datagedreven afhankelijkheden geeft dit een contractueel en technisch geborgde terugvaloptie.

De evidence die je nodig hebt voor een NIS2-audit

Een escrow-overeenkomst op papier is een begin, maar geen bewijs. Wat toezichthouders en interne auditors willen zien is een aaneengesloten keten van documentatie. Reken op de volgende elementen:

• Depositscope: een gedocumenteerde lijst van wat er precies is gedeponeerd (broncode versies, configuratiebestanden, runbooks, data-exports).
• Verificatierapport: technische bevestiging dat het depot compleet en bruikbaar is, uitgevoerd door de escrow-provider.
• Restore-testresultaten: bewijs dat de gedeponeerde assets ook daadwerkelijk leiden tot een werkende omgeving, inclusief datum en uitvoerder.
• Vrijgavevoorwaarden: helder omschreven triggercriteria (faillissement, staking van dienst, contractbreuk) die auditbaar zijn vastgelegd.
• Updateprotocol: registratie van hoe en hoe vaak deposits worden bijgewerkt bij nieuwe releases.

Escrow is geen vervanging van je interne BCP of disaster recovery plan. Het vult die plannen aan voor het specifieke scenario waarbij de leverancier zelf onderdeel is van het probleem.

Van NIS2-gap naar escrow-inrichting: vijf stappen

Stap 1: inventariseer je softwareafhankelijkheden. Welke applicaties zijn bedrijfskritiek en bij welke leveranciers zitten die? Maak onderscheid tussen on-premise, SaaS en hybride deployments.

Stap 2: stel continuïteitsdoelstellingen vast. Wat is je maximaal acceptabele hersteltijd (RTO) en dataverlies (RPO) per systeem? Dit bepaalt mede hoe frequent deposits moeten worden bijgewerkt en hoe rigoureus je hersteltests moeten zijn.

Stap 3: bepaal de escrow-scope per systeem. Welke artifacts zijn noodzakelijk voor zelfstandig herstel? Voor maatwerksoftware is dat vaak meer dan alleen broncode: ook buildscripts, omgevingsdocumentatie en licentie-informatie horen erbij.

Stap 4: leg governance vast. Wie is verantwoordelijk voor het updateproces, wie heeft het contract getekend, wie triggert een vrijgave? Leg dit vast met duidelijke rolverdeling tussen IT, Legal en Risk/Compliance, en zorg dat het bestuur het beleid heeft goedgekeurd.

Stap 5: voer verificatie en hersteltests uit, en documenteer ze. Minimaal jaarlijks, maar voor systemen met een lage RTO-tolerantie liever vaker. De testresultaten zijn je primaire bewijs richting toezichthouders.

Supply-chain risico: escrow als aantoonbare maatregel

NIS2 vraagt niet alleen dat je supply-chain risico’s benoemd hebt, maar dat je ze beheerst. Drie scenario’s zijn het meest relevant:

• Een leverancier gaat failliet en support stopt per direct.
• Een leverancier is door een cyberincident langdurig niet bereikbaar.
• Een leverancier stopt met een product zonder tijdige migratieroute.

In elk van deze gevallen bepaalt de kwaliteit van je escrow-inrichting hoe snel je kunt handelen. Escrow4all, als ISO 27001-gecertificeerde escrowprovider in de Benelux, biedt de technische infrastructuur en het juridische kader om deze scenario’s contractueel en organisatorisch voor te bereiden. De ISO 27001-certificering is daarbij niet alleen een kwaliteitssignaal: het geeft interne en externe auditors een onafhankelijk referentiepunt voor de informatiebeveiliging rondom het depot zelf.

Drie misvattingen die je escrow-aanpak kunnen ondermijnen

“We hebben back-ups, dus we zijn gedekt.” Back-ups van je eigen data zijn niet hetzelfde als onafhankelijke toegang tot de broncode, configuratie en kennis die nodig zijn om een applicatie opnieuw op te bouwen. Je back-up helpt niet als de leverancier verdwenen is.

“Escrow gaat over broncode.” Dat is te beperkt gedacht. Voor SaaS-omgevingen gaat het om data-exports, deployment-configuraties en soms containerimages. De scope hangt af van wat je nodig hebt om te herstellen, niet van wat technisch het eenvoudigst te deponeren is.

“We regelen het als het nodig is.” Escrow werkt alleen als het klaarstaat vóór een vrijgavescenario. NIS2 vraagt voorafgaande maatregelen. Een escrow-overeenkomst die pas wordt afgesloten nadat een leverancier in zwaar weer zit, is juridisch en praktisch vrijwel waardeloos.

Veelgestelde vragen over NIS2 en escrow

Welke escrow-dienst past bij mijn situatie? Als de software lokaal draait of als maatwerk is gebouwd: software escrow. Als je afhankelijk bent van een SaaS-platform: SaaS escrow. Beide kunnen naast elkaar bestaan voor verschillende systemen.

Hoe vaak moet je verificatie en hersteltests uitvoeren? Er is geen wettelijk vastgestelde minimumfrequentie in NIS2, maar jaarlijkse tests zijn gangbaar. Koppel de frequentie aan je RTO-doelstelling: hoe korter de gewenste hersteltijd, hoe recenter de test moet zijn.

Hoe koppel je escrow aan je BCP en incident management? Leg in je Business Continuity Plan expliciet vast voor welke systemen escrow de terugvaloptie is, onder welke voorwaarden je vrijgave aanvraagt, en wie die beslissing neemt. Zo wordt escrow een actief onderdeel van je crisisprotocol, niet alleen een contractuele verplichting.

Wat is de relatie met ISO 27001? ISO 27001 vraagt dat je leveranciersrisico’s beheerst en dat je continuïteitsmaatregelen periodiek test. Escrow, mits goed gedocumenteerd, levert evidence voor beide vereisten. Werken met een ISO 27001-gecertificeerde escrowprovider versterkt die documentatieketen.

Vijf takeaways voor je routekaart naar NIS2-compliance

NIS2 Artikel 21 vraagt concrete, aantoonbare maatregelen voor bedrijfscontinuïteit en supply-chain veiligheid. Escrow helpt je daar op een specifieke maar wezenlijke manier bij: het biedt onafhankelijke herstelbaarheid voor software- en dataafhankelijkheden die je met interne back-ups niet kunt afdekken.

Vijf acties om vandaag mee te beginnen:

1. Inventariseer welke bedrijfskritieke systemen extern worden gehost of beheerd door een derde.
2. Bepaal per systeem wat herstel vereist: broncode, data, configuratie of een combinatie.
3. Sluit escrow-overeenkomsten af met duidelijke vrijgavevoorwaarden voordat een leverancier in de problemen komt.
4. Voer depositverificatie en restore-tests uit en bewaar de resultaten als audit-evidence.
5. Zorg dat het bestuur dit beleid formeel heeft goedgekeurd en dat de verantwoordelijkheden zijn belegd.

Wil je weten welke escrow-dienst past bij jouw softwareafhankelijkheden en hoe je dit inricht als aantoonbare NIS2-maatregel? Escrow4all helpt je graag met een escrow-scopecheck voor je bedrijfskritieke systemen.